PowerShell をシェルとして利用するときに誰もが一度はひっかかるのが ExecutionPolicy です。
今回は、Set-ExecutionPolicy RemoteSignedをしようとしたら、以下の警告が出た場合の対処です。
ExecutionPolicyOverride,Microsoft.PowerShell.Commands.SetExecutionPolicyCommand : セキュリティ エラーです。
目次
ExecutionPolicy の目的
敢えて長い間ふれてきませんでしたが、そもそもに触れましょう。
スクリプトは信頼できることのセーフガード、VBScript など過去の経験、そして JEA に見られるような必要な権限を必要な時にという考え、あるいは 「あ、間違えて実行しちゃった！」を防ぐための機能として ExecutionPolicy があると説明されています。*1
大事なのはこの辺です。
- What you are trying to protect. In PowerShell’s case, this is almost entirely "code execution.”
Sources of data, and how that data flows. In PowerShell’s case, these are scripts sent to you through email, scripts downloaded from the internet, your profile, user input, and other similar sources. From there, this data flows through many PowerShell features – the parser, cmdlet invocation, formatting and output, etc
Boundaries between untrusted data and trusted data
- PowerShell doesn’t trust scripts that you download from the internet
- PowerShell doesn’t trust a random script or executable lying in the current location of your hard drive
- PowerShell does trust user input
- PowerShell does trust the administrator of the machine
- PowerShell does trust a running script
コンセプト自体は理解できるのですが、ちょっと心が折れそうになることが多いのではないでしょうか。
中にはデフォルトから変更しないことをすすめる記事もあります。これはこれで有益です。特に PowerShell.exe -ExeuctionPolicy RemoteSigned -Command "なにか処理やps1"は 私自身よく利用しています。
他にもバイパスする手段は数多くあります。
「バイパスされるようなものなんて」といいたくなる気持ちが湧いた方もいらっしゃるでしょうが、Windows Server 2012R2 ではデフォルトが RemoteSigned なあたりに考えの変化も見て取れます。*2
Office365 や Exchange Online などは、相変わらずのようですがMicrosoft 社内でも見解はそれぞれなのでしょう。
https://powershell.office.com/scenarios/setting-execution-policies-on-windows-powershell
どうするといいのか
ExecutionPolicy とは、というのは結局のところ利用シーン次第です。
グラニでは、RemoteSigned に変更してしまいます。それは背景に、Disposable な環境で一度きりの環境構築、以降は構成変更があれば捨てて新しく立てる。 という仕組み、コンセプトが根付いているからです。このケースにおいて、Restricted + -ExecutionPolicy などでやる意味は乏しいのはご理解いただけるでしょう
PowerShell スクリプト開発をされる方にとっては、当然のように RemoteSigned にしたくなるでしょう。*3
しかし、スクリプトも実行しないようなPCまで強制する必要はありません。Restricted でいいでしょう
多くの方にとって、それぞれの利用シーンがあります。ExecutionPolicy が面倒なのは事実ですが、背景はまず共有しておきたいと思います。
Set-ExecutionPolicy
さて、今回の記事は、Set-ExecutionPolicy を実行すると、ExecutionPolicyOverride,Microsoft.PowerShell.Commands.SetExecutionPolicyCommand と出た場合の対処です。
Set-ExecutionPolicy : Windows PowerShell updated your execution policy successfully, but the setting is overridden by
a policy defined at a more specific scope. Due to the override, your shell will retain its current effective
execution policy of RemoteSigned. Type "Get-ExecutionPolicy -List" to view your execution policy settings. For more
information please see "Get-Help Set-ExecutionPolicy".
At line:1 char:1
+ Set-ExecutionPolicy Unrestricted
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : PermissionDenied: (:) [Set-ExecutionPolicy], SecurityException
+ FullyQualifiedErrorId : ExecutionPolicyOverride,Microsoft.PowerShell.Commands.SetExecutionPolicyCommand
Set-ExecutionPolicy : Windows PowerShell により実行ポリシーは正常に更新されましたが、設定は範囲がより明確に定義されたポ
リシーで上書きされました。この上書きにより、シェルで現在有効な実行ポリシー Restricted が保持されます。実行ポリシーの設
定を表示するには、「Get-ExecutionPolicy -List」と入力してください。詳細については、"Get-Help Set-ExecutionPolicy" を参
照してください。
発生場所 行:1 文字:1
+ Set-ExecutionPolicy -ExecutionPolicy RemoteSigned
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : PermissionDenied: (:) [Set-ExecutionPolicy], SecurityException
+ FullyQualifiedErrorId : ExecutionPolicyOverride,Microsoft.PowerShell.Commands.SetExecutionPolicyCommand
結論からいうと、このエラーが出る場合は設定しようとしたスコープよりも下のスコープで制限している ことが原因です。
見てみましょう。
PowerShell の実行権限スコープ
Get-ExecutionPolicy -List をすることで一覧がみれます。MachinePolicy と UserPolicy は、GPOに関連するので触りません。
この場合、既に LocalMachine で RemoteSigned になっています。
権限スコープは、Process < CurrentUser < LocalMachineの順に広くなります。
| 権限スコープ | 範囲 | 設定箇所 |
|---|---|---|
| Process | 現在のPowerShell セッションのみ。別のPowerShell セッションには影響を与えません。 | 環境変数 PSExecutionPolicyPreference |
| CurrentUser | 現在のユーザーのPowerShell実行のみ。別のユーザーには影響を与えません | レジストリ HEKY_CURRENT_USER\SOFTWARE\Microsoft\PowerShell\1\ShellIds\Microsoft.PowerShell |
| LocalMachine | マシン全体のスコープ。どのユーザーで実行しても、同一の権限になる。 | レジストリ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PowerShell\1\ShellIds\Microsoft.PowerShell |
例えば、PowerShell.exe -ExecutionPolicy RemoteSigned などは、Process スコープの変更です。
ここまで理解できれば話は簡単です。
狭いスコープから変更していく
エラーが示しているのは、変更しようとしたスコープよりも低いスコープで制限されていることを意味します。
たとえば、CurrentUser スコープがRestricted にします。
この状態で、LocalMachine スコープを RemoteSigned にしようとするとエラーがでます。
対処は簡単です。CurrentUser を先に RemoteSigned などにしてから、LocalMachine を変えましょう。
Process スコープが Restricted になっていた場合でも、同様に Process スコープを RemoteSigned などにすれば回避できます。
怒られませんね。
まとめ
Disposable なら ExecutionPolicy も気にせず済むので、オススメです。
